Design-System: Token-Ebene für Spacing, Fokus und Tap-Targets
Vorbereitung für die Konsolidierung. tokens.css war für Farben und Typo schon die Single Source of Truth, für Abstände aber nur mit --space-section und --container-pad besetzt — dem standen ~450 Spacing-Deklarationen mit 39 verschiedenen rem-Werten gegenüber. Neu: 14-stufige Spacing-Skala auf 4px-Raster, aus dem Ist-Bestand geclustert statt frei erfunden. Die neun häufigsten Werte der Codebase (1, 1.5, 1.25, 2.5, 0.75, 0.5, 1.75, 2, 3rem — zusammen ~60% aller Deklarationen) liegen bereits exakt auf Stufen, die Migration ist dort verlustfrei. Nach oben wird das Raster gröber (3 → 4 → 5 → 7rem), weil große Abstände das vertragen. --space-4xs (2px) ist ausdrücklich nur für optische Korrekturen an Icon-/Baseline-Nudges. Dazu --tap-min (44px, WCAG 2.5.5) und --focus-ring/--focus-offset. Der Fokus wird auf Weiß festgeschrieben: 15,9:1 auf --clr-bg gegenüber 3,2:1 für Rot, das WCAG 1.4.11 nur knapp schafft und als einziger Indikator zu schwach ist. --container-pad und --space-section verweisen jetzt auf die Skala statt eigene Werte zu führen. Entfernt: --clr-bg-light und --clr-surface-raised, beide projektweit 0× verwendet. Consumer folgen in den nächsten Commits — dieser Schritt ändert die Darstellung noch nicht. Co-Authored-By: Claude Opus 5 (1M context) <noreply@anthropic.com> Claude-Session: https://claude.ai/code/session_01MSsVdooFLgPA8gPFp7HwZU
This commit is contained in:
@@ -6,12 +6,11 @@ declare(strict_types=1);
|
||||
* POST /mitglied-werden-senden — Mitgliedsantrag Fußball (schlank, ohne Bankdaten).
|
||||
* Versendet eine interne Vereins-Mail (erfolgskritisch) und eine Eingangsbestätigung
|
||||
* an den Antragsteller (optional, Fehler dort wird nicht an den Besucher geleakt).
|
||||
* Antwort: PRG-Redirect zu /mitglied-werden#anmeldung-fussball (?sent=1 | ?error=…)
|
||||
* oder JSON bei fetch (form.js).
|
||||
* Antwort: PRG-Redirect zu /mitglied-werden#anmeldung-fussball (?sent=1 | ?error=…),
|
||||
* JSON bei fetch (form.js) oder — bei Feldfehlern ohne JS — die Seite direkt
|
||||
* mit HTTP 422, erhaltenen Eingaben und Feldfehlern (render_form_invalid()).
|
||||
*/
|
||||
|
||||
use PHPMailer\PHPMailer\PHPMailer;
|
||||
|
||||
$wantsJson = str_contains($_SERVER['HTTP_ACCEPT'] ?? '', 'application/json');
|
||||
|
||||
$respond = static function (bool $ok, string $error = '') use ($wantsJson): never {
|
||||
@@ -29,6 +28,13 @@ $field = static fn (string $key): string => trim((string) ($_POST[$key] ?? ''));
|
||||
$route = 'mitglied-werden';
|
||||
$token = $field('ft');
|
||||
|
||||
// Ohne vollständige config/config.php liefe die Seite auf der Vorlage (öffentliches
|
||||
// app_secret, kein SMTP-Passwort) — dann gar nicht erst verarbeiten.
|
||||
if (config_problems() !== []) {
|
||||
error_log('[' . date('c') . "] {$route}: Formular abgewiesen, Konfiguration unvollständig (php bin/preflight.php).\n", 3, STORAGE_PATH . '/logs/mail.log');
|
||||
$respond(false, 'mail');
|
||||
}
|
||||
|
||||
// --- Spam-Checks: Bots bekommen ein stilles "OK" (kein Feedback-Kanal) ---
|
||||
if ($field('company_url') !== '') {
|
||||
log_spam($route, 'honeypot');
|
||||
@@ -39,12 +45,6 @@ if (!form_token_valid($token)) {
|
||||
$respond(true);
|
||||
}
|
||||
|
||||
// Rate-Limit pro IP (sichtbarer Hinweis statt still — legitime NAT-Nutzer nicht im Dunkeln lassen).
|
||||
if (!rate_limit_ok('submit|' . $route . '|' . client_ip(), 5, 600)) {
|
||||
log_spam($route, 'ratelimit');
|
||||
$respond(false, 'ratelimit');
|
||||
}
|
||||
|
||||
// --- Eingaben ---
|
||||
$firstName = $field('first_name');
|
||||
$lastName = $field('last_name');
|
||||
@@ -55,6 +55,8 @@ $zip = $field('zip');
|
||||
$city = $field('city');
|
||||
$email = $field('email');
|
||||
$feeClass = $field('fee_class');
|
||||
$statute = ($_POST['statute'] ?? '') === '1';
|
||||
$privacy = ($_POST['privacy'] ?? '') === '1';
|
||||
|
||||
// Beitragsklassen-Whitelist identisch zur Seite aus data/mitglied-werden.json ableiten.
|
||||
$data = json_load('mitglied-werden');
|
||||
@@ -63,39 +65,84 @@ $feeOptions = array_map(
|
||||
$data['fussball']['fees']['rows'] ?? []
|
||||
);
|
||||
|
||||
// --- Validierung (Whitelist-Prinzip) ---
|
||||
$valid = $firstName !== '' && mb_strlen($firstName) <= 100
|
||||
&& $lastName !== '' && mb_strlen($lastName) <= 100
|
||||
&& preg_match('/^\d{4}-\d{2}-\d{2}$/', $birthDate) === 1
|
||||
&& $phone !== '' && mb_strlen($phone) <= 50
|
||||
&& $street !== '' && mb_strlen($street) <= 200
|
||||
&& $zip !== '' && mb_strlen($zip) <= 10
|
||||
&& $city !== '' && mb_strlen($city) <= 100
|
||||
&& filter_var($email, FILTER_VALIDATE_EMAIL) !== false
|
||||
&& in_array($feeClass, $feeOptions, true)
|
||||
&& ($_POST['statute'] ?? '') === '1'
|
||||
&& ($_POST['privacy'] ?? '') === '1'
|
||||
&& !preg_match('/[\r\n]/', $firstName . $lastName . $city . $street);
|
||||
|
||||
if (!$valid) {
|
||||
$respond(false, 'validation');
|
||||
// Geburtsdatum: Format, echter Kalendertag und plausibler Zeitraum.
|
||||
$birthValid = false;
|
||||
if (preg_match('/^(\d{4})-(\d{2})-(\d{2})$/', $birthDate, $m) === 1) {
|
||||
$birthValid = checkdate((int) $m[2], (int) $m[3], (int) $m[1])
|
||||
&& $birthDate <= date('Y-m-d')
|
||||
&& (int) $m[1] >= (int) date('Y') - 120;
|
||||
}
|
||||
|
||||
// --- Aufkommens-Heuristiken (still abweisen) ---
|
||||
// Globaler Tages-Cap als Brevo-Kosten-Backstop — die Flut soll ihn nicht bemerken.
|
||||
if (!rate_limit_ok('daily', 100, 86400)) {
|
||||
log_spam($route, 'daily-cap');
|
||||
$respond(true);
|
||||
// --- Validierung (Whitelist-Prinzip, Fehler pro Feld) ---
|
||||
$errors = [];
|
||||
if ($firstName === '' || mb_strlen($firstName) > 100 || preg_match('/[\r\n]/', $firstName)) {
|
||||
$errors['mm-first-name'] = 'Bitte gib den Vornamen an (max. 100 Zeichen).';
|
||||
}
|
||||
// Token-Mehrfachnutzung begrenzen (Replay-Schutz, großzügig für menschliches Mehrfach-Senden).
|
||||
if (!rate_limit_ok('token|' . $token, 3, 86400)) {
|
||||
if ($lastName === '' || mb_strlen($lastName) > 100 || preg_match('/[\r\n]/', $lastName)) {
|
||||
$errors['mm-last-name'] = 'Bitte gib den Nachnamen an (max. 100 Zeichen).';
|
||||
}
|
||||
if (!$birthValid) {
|
||||
$errors['mm-birth-date'] = 'Bitte gib ein gültiges Geburtsdatum an.';
|
||||
}
|
||||
if ($phone === '' || mb_strlen($phone) > 50) {
|
||||
$errors['mm-phone'] = 'Bitte gib eine Telefonnummer an (max. 50 Zeichen).';
|
||||
}
|
||||
if ($street === '' || mb_strlen($street) > 200 || preg_match('/[\r\n]/', $street)) {
|
||||
$errors['mm-street'] = 'Bitte gib Straße und Hausnummer an.';
|
||||
}
|
||||
if ($zip === '' || mb_strlen($zip) > 10 || preg_match('/[^\p{L}\d \-]/u', $zip)) {
|
||||
$errors['mm-zip'] = 'Bitte gib eine gültige Postleitzahl an.';
|
||||
}
|
||||
if ($city === '' || mb_strlen($city) > 100 || preg_match('/[\r\n]/', $city)) {
|
||||
$errors['mm-city'] = 'Bitte gib den Wohnort an (max. 100 Zeichen).';
|
||||
}
|
||||
if (filter_var($email, FILTER_VALIDATE_EMAIL) === false) {
|
||||
$errors['mm-email'] = 'Bitte gib eine gültige E-Mail-Adresse an.';
|
||||
}
|
||||
if (!in_array($feeClass, $feeOptions, true)) {
|
||||
$errors['mm-fee-class'] = 'Bitte wähle eine Beitragsklasse aus der Liste.';
|
||||
}
|
||||
if (!$statute) {
|
||||
$errors['mm-statute'] = 'Ohne Anerkennung der Satzung ist keine Mitgliedschaft möglich.';
|
||||
}
|
||||
if (!$privacy) {
|
||||
$errors['mm-privacy'] = 'Ohne Zustimmung zum Datenschutz können wir den Antrag nicht entgegennehmen.';
|
||||
}
|
||||
|
||||
if ($errors !== []) {
|
||||
if ($wantsJson) {
|
||||
header('Content-Type: application/json; charset=utf-8');
|
||||
echo json_encode(['ok' => false, 'error' => 'validation', 'fields' => $errors]);
|
||||
exit;
|
||||
}
|
||||
// Ohne JS: Seite mit Eingaben und Feldfehlern neu rendern statt PRG (Werte bleiben erhalten).
|
||||
render_form_invalid($route, [
|
||||
'first_name' => $firstName, 'last_name' => $lastName, 'birth_date' => $birthDate,
|
||||
'phone' => $phone, 'street' => $street, 'zip' => $zip, 'city' => $city,
|
||||
'email' => $email, 'fee_class' => $feeClass,
|
||||
'statute' => $statute ? '1' : '', 'privacy' => $privacy ? '1' : '',
|
||||
], $errors);
|
||||
}
|
||||
|
||||
// --- Volumen-Grenzen: erst ab hier, damit Tippfehler kein Kontingent verbrauchen.
|
||||
// Sie antworten ehrlich — stilles "Danke" ohne Versand verschluckt echte Anträge. ---
|
||||
if (!rate_limit_ok('submit|' . $route . '|' . client_ip(), 5, 600)) {
|
||||
log_spam($route, 'ratelimit');
|
||||
$respond(false, 'ratelimit');
|
||||
}
|
||||
// Token-Mehrfachnutzung begrenzen (Replay-Schutz). IP im Schlüssel, weil form_token()
|
||||
// sekundengenau ist: sonst teilen sich alle Besucher derselben Sekunde ein Kontingent.
|
||||
if (!rate_limit_ok('token|' . $token . '|' . client_ip(), 3, 86400)) {
|
||||
log_spam($route, 'replay');
|
||||
$respond(true);
|
||||
$respond(false, 'ratelimit');
|
||||
}
|
||||
// Globaler Tages-Cap über alle Formulare: schützt Postfach und Absender-Reputation.
|
||||
if (!rate_limit_ok('daily', 200, 86400)) {
|
||||
log_spam($route, 'daily-cap');
|
||||
$respond(false, 'busy');
|
||||
}
|
||||
|
||||
// --- Versand ---
|
||||
$smtp = config('smtp');
|
||||
|
||||
$body = "Neuer Mitgliedsantrag (Fußball) über tsv08kulmbach.de\n"
|
||||
. str_repeat('-', 40) . "\n"
|
||||
. "Vorname: {$firstName}\n"
|
||||
@@ -112,46 +159,28 @@ $body = "Neuer Mitgliedsantrag (Fußball) über tsv08kulmbach.de\n"
|
||||
. "Hinweis: Bankdaten werden online nicht erhoben – Beitrittserklärung\n"
|
||||
. "per Post zur Unterschrift zusenden.\n";
|
||||
|
||||
$buildMailer = static function () use ($smtp): PHPMailer {
|
||||
$mail = new PHPMailer(true);
|
||||
$mail->isSMTP();
|
||||
$mail->Host = $smtp['host'];
|
||||
$mail->Port = (int) $smtp['port'];
|
||||
$mail->SMTPAuth = true;
|
||||
$mail->SMTPSecure = PHPMailer::ENCRYPTION_STARTTLS;
|
||||
$mail->Username = $smtp['username'];
|
||||
$mail->Password = $smtp['password'];
|
||||
$mail->CharSet = PHPMailer::CHARSET_UTF8;
|
||||
return $mail;
|
||||
};
|
||||
|
||||
// Mail 1 (intern) — erfolgskritisch.
|
||||
try {
|
||||
$mail = $buildMailer();
|
||||
$mail->setFrom($smtp['from'], $smtp['from_name']);
|
||||
$mail->addAddress($smtp['to']);
|
||||
$mail->addReplyTo($email, $firstName . ' ' . $lastName);
|
||||
$mail->Subject = 'Mitgliedsantrag Fußball: ' . $firstName . ' ' . $lastName;
|
||||
$mail->Body = $body;
|
||||
$mail->send();
|
||||
} catch (Throwable $e) {
|
||||
error_log('[' . date('c') . '] Mitgliedsantrag-Versand fehlgeschlagen: ' . $e->getMessage() . "\n", 3, STORAGE_PATH . '/logs/mail.log');
|
||||
$sent = send_mail([
|
||||
'context' => 'Mitgliedsantrag',
|
||||
'subject' => 'Mitgliedsantrag Fußball: ' . $firstName . ' ' . $lastName,
|
||||
'body' => $body,
|
||||
'reply_to' => ['email' => $email, 'name' => $firstName . ' ' . $lastName],
|
||||
]);
|
||||
|
||||
if (!$sent) {
|
||||
$respond(false, 'mail');
|
||||
}
|
||||
|
||||
// Mail 2 (Eingangsbestätigung an Antragsteller) — optional, Fehler nicht an Besucher leaken.
|
||||
// Mail 2 (Eingangsbestätigung an den Antragsteller) — optional, Fehler nur ins Log.
|
||||
$welcome = $data['welcome_mail'] ?? null;
|
||||
if (is_array($welcome) && !empty($welcome['subject']) && !empty($welcome['body'])) {
|
||||
try {
|
||||
$confirm = $buildMailer();
|
||||
$confirm->setFrom($smtp['from'], $smtp['from_name']);
|
||||
$confirm->addAddress($email, $firstName . ' ' . $lastName);
|
||||
$confirm->Subject = $welcome['subject'];
|
||||
$confirm->Body = $welcome['body'];
|
||||
$confirm->send();
|
||||
} catch (Throwable $e) {
|
||||
error_log('[' . date('c') . '] Bestätigungsmail fehlgeschlagen: ' . $e->getMessage() . "\n", 3, STORAGE_PATH . '/logs/mail.log');
|
||||
}
|
||||
send_mail([
|
||||
'context' => 'Bestätigungsmail Mitgliedsantrag',
|
||||
'to' => $email,
|
||||
'to_name' => $firstName . ' ' . $lastName,
|
||||
'subject' => (string) $welcome['subject'],
|
||||
'body' => (string) $welcome['body'],
|
||||
]);
|
||||
}
|
||||
|
||||
$respond(true);
|
||||
|
||||
Reference in New Issue
Block a user